Boa tarde novamente pessoal!
passando para deixar aqui minha grotesca solução em relação a este problema em que o Mercado pago manda uma chave diferente da outra cada vez e nenhuma da match com a chave que foi gerada lá na configuração do proprio webhook no Mercado Pago.
minha solução foi adiciona a secret key como parametro no final da url lá no painel do mercado pago, ou seja, no fim da url eu adicionei um ?secretKey="chave secreta aqui" e colei a chave gerada pelo proprio mercado pago.
consegui recuperar com sucesso e fazer minha validação, também estou validando o proprio user_id (Id da Applicaçao criada no mercado pago). sei que não é o melhor jeito, mas espero que ajude alguns.